Kısa cevap: evet — ama bunun yolu "en güvenli aracı" aramak değil, hangi bilginin hangi araca girebileceğine dair yazılı bir kural kurmaktır. Yöneticilerle yaptığımız görüşmelerde en sık duyduğumuz çekince şudur: "Ekip bu araçları kullanıyor ama fiyat listemiz, müşteri verimiz, sözleşmelerimiz nereye gidiyor bilmiyorum." Bu çekince haklıdır ve cevabı bir güvence cümlesi değil, dört katmanlı bir düzendir.
Önce sorunu doğru koyalım. Şirketlerde yapay zeka kullanımı çoğu zaman resmi bir kararla değil, ekip üyelerinin kendi hesaplarıyla, kendi telefonlarında başlar. Yasaklamak işe yaramaz — kullanım görünmez olur, risk artar. Sorun aracın kendisinde değil, KURALSIZLIKTADIR: hangi belgenin, hangi rakamın, hangi müşteri bilgisinin bir sohbet penceresine yapıştırılabileceğine dair kimsenin bir cevabı yoktur. O cevap yazılı olmadığı sürece her çalışan kendi sezgisiyle karar verir ve sezgiler tutarlı değildir.
Katman 1 · Veri sınıflandırma kuralı: önce kural, sonra araç
Düzenin temeli üç kademeli basit bir sınıflandırmadır. AÇIK: zaten kamuya açık ya da açılsa zarar vermeyecek bilgi — web sitenizdeki metinler, yayınlanmış fiyatlar, genel sektör soruları. KURUM İÇİ: dışarı çıkması istenmeyen ama tek başına kritik zarar doğurmayacak bilgi — iç süreç dokümanları, taslak metinler, anonim istatistikler. GİZLİ: sızması hâlinde somut zarar doğuracak bilgi — müşteri kimlikleri, fiyat/marj tabloları, sözleşmeler, personel verileri, ticari sırlar.
Kural şu şekilde işler: AÇIK veri her araçta serbesttir. KURUM İÇİ veri yalnız kurumsal hesaplarda ve ayarları denetlenmiş araçlarda işlenir. GİZLİ veri ise ya hiç girmez ya maskelenerek girer ya da yalnız şirket içinde çalışan sistemlerde işlenir. Bu üç cümle, bir sayfalık bir şirket politikasına dönüştüğünde ekibin elinde ilk kez net bir pusula olur. Deneyimimiz şudur: sızıntıların büyük kısmı kötü niyetten değil, "bunun gizli sayıldığını bilmiyordum" durumundan çıkar.
Katman 2 · Kurumsal sürümler: taahhüdü okumak
Büyük yapay zeka sağlayıcılarının kurumsal sürümlerinde ortak bir taahhüt vardır: kurumsal planlarda işlenen veriler, modellerin eğitiminde kullanılmaz. Bireysel (ücretsiz ya da bireysel ücretli) sürümlerde ise bu çoğu zaman bir AYARDIR — varsayılan olarak açık ya da kapalı olabilir ve kullanıcının kendisinin yönetmesi gerekir. Aradaki fark küçük bir ayrıntı değildir: aynı aracın iki sürümü, veri açısından iki farklı sözleşme rejimidir.
Pratik öneri: şirkette hangi araçlar kullanılıyorsa, her biri için iki soruya yazılı cevap bulun. Bir — bu plandaki veriler model eğitiminde kullanılıyor mu, bu taahhüt sözleşmenin neresinde yazıyor? İki — veri hangi ülkede, ne kadar süre saklanıyor ve silme talebi nasıl işliyor? Bu iki sorunun cevabını bilmeden "araç güvenli mi" sorusu cevaplanamaz; cevabı bildikten sonra ise soru çoğu zaman kendiliğinden çözülür. KVKK tarafında da aynı mantık geçerlidir: kişisel veri içeren her akış için veri işleme envanterinize bir satır eklemek gerekir.
Katman 3 · Maskeleyerek çalışma: işin çoğu isimsiz de yürür
Az bilinen ama en pratik katman budur: birçok analiz, gerçek isim ve gerçek rakam olmadan da aynı kalitede yapılır. Bir sözleşme taslağını incelettirirken taraf adlarının "A Şirketi / B Şirketi" olması sonucu değiştirmez. Bir fiyatlama mantığını tartışırken gerçek marjlar yerine oranların ölçekli temsilleri kullanılabilir. Müşteri geri bildirimlerini sınıflandırırken kimlik sütunları hiç dahil edilmez.
Maskeleme bir alışkanlıktır ve öğrenilebilir: yapıştırmadan önce "bu metinde kim var, hangi rakam var" diye on saniyelik bir kontrol. Ekibe kazandırılacak bu tek refleks, gizli verinin araçlara hiç uğramadan işin görülmesini sağlar. Kural setinize tek cümlelik bir madde olarak girer: "GİZLİ sınıfındaki veri, ancak kimlik ve rakam maskelenerek buluta çıkabilir."
Katman 4 · Şirket içinde çalışan modeller: bazı işler için tek doğru
Bazı işlerde veri, maskelense bile dışarı çıkmamalıdır — düzenleyici zorunluluk, müşteri sözleşmesi ya da ticari hassasiyet nedeniyle. Bu işler için açık kaynak modellerin şirket donanımında (on-premise) çalıştırılması bugün gerçekçi bir seçenektir. Açık modellerin son iki yıldaki gelişimi, "yerel model işe yaramaz" ezberini geçersiz kıldı: belge özetleme, sınıflandırma, iç arama ve taslak üretimi gibi işlerin önemli kısmı yerel modellerle karşılanabilir.
Dürüst sınır şu: en güçlü bulut modellerinin gerektirdiği karmaşık akıl yürütme işlerinde yerel modeller hâlâ geridedir ve donanım + bakım maliyeti küçümsenmemelidir. Doğru karar "her şey yerelde" ya da "her şey bulutta" değil, İŞ BAZINDA karardır: hangi iş hangi katmanda işlenecek? Bu soruyu sorabilen bir yönetici, veri güvenliği tartışmasını slogan düzeyinden yönetim düzeyine taşımış olur. Konunun teknik derinliği için KVKK uyumlu mimari yazımıza bakabilirsiniz.
"Yüzde yüz güvenli" diyen varsa, sözleşmeyi okumamıştır
Bu yazının en önemli cümlesi belki de şudur: hiçbir bulut aracı için "yüzde yüz güvenli" cümlesini kurmuyoruz — ve bu cümleyi kuran herkese temkinli yaklaşmanızı öneriyoruz. Güvenlik bir durum değil, yönetilen bir risktir. Dört katmanlı düzenin amacı riski sıfırlamak değil, riski BİLEREK almak ve alınmayacak riski baştan ayırmaktır. Sıfır risk isteyen tek yol, hiç kullanmamaktır; onun da bir maliyeti vardır ve o maliyet her geçen çeyrek büyür: rakipleriniz bu araçlarla çalışmayı öğreniyor.
Yönetici için başlangıç: tek sayfalık kural
Bu düzeni kurmak bir BT projesi değil, bir yönetim kararıdır ve bir hafta içinde başlatılabilir: (1) üç kademeli sınıflandırmayı kendi işinize göre tanımlayın — hangi beş belge türü sizde GİZLİ sınıfına girer? (2) Kullanılan araçların listesini çıkarın ve her biri için iki taahhüt sorusunun cevabını isteyin. (3) Maskeleme refleksini ekibe tek bir örnek üzerinden gösterin. (4) Verinin hiç çıkmaması gereken bir iş varsa, yerel model seçeneğini o iş özelinde değerlendirin.
Biz bu düzenin kurulmasını birebir çalışmalarımızın standart bir parçası hâline getirdik: yöneticiyle birlikte, kendi şirketinin verisi üzerinden sınıflandırma kuralını yazıyor, araç ayarlarını birlikte denetliyor ve maskeleme pratiğini gerçek bir vaka üzerinde çalışıyoruz. Çünkü tekrar edelim: bu bir araç sorunu değil, kural sorunu — ve kuralı ancak işin sahibi kurabilir. Detaylar için [birebir programın işleyişine](/egitimler/birebir-yapay-zeka-egitimi) bakabilirsiniz.